Mettere in quarantena un'istanza EC2 compromessa

Se GuardDuty o il sistema di monitoraggio rileva che un'istanza EC2 effettua connessioni in uscita dannose, esegue attività di crypto mining o analizza la rete, deve essere messa in quarantena.

La quarantena isola l'istanza da tutto il resto, impedendole di causare ulteriori danni, ma la mantiene attiva per le indagini invece di eliminare le prove.

Il modo più efficace per mettere un'istanza in quarantena consiste nel sostituire i suoi security group con un unico gruppo forense privo di regole in ingresso e, idealmente, anche di regole in uscita.

Poiché i security group sono stateful e associati all'istanza, questa operazione interrompe immediatamente praticamente tutte le nuove connessioni senza modificare altro nella subnet.

Arrestare o terminare l'istanza svuota la RAM, dove risiede gran parte del malware, e può distruggere gli artefatti lasciati dall'attaccante.

La quarantena mantiene l'istanza in esecuzione ma isolata, consentendo di creare snapshot del disco, acquisire un dump della memoria e osservare il comportamento. Proceda all'eliminazione solo dopo aver acquisito le prove in sicurezza.

Un'istanza compromessa dispone spesso di un ruolo IAM tramite il suo instance profile e l'attaccante potrebbe esfiltrare queste credenziali temporanee per utilizzarle altrove.

Sostituisca o rimuova il ruolo e revochi le sessioni attive, così le credenziali rubate smetteranno di funzionare su tutti i servizi AWS, non solo sull'istanza stessa.

Crei immediatamente uno snapshot di ogni volume EBS collegato per congelare il disco e acquisisca la memoria, se gli strumenti a disposizione lo consentono.

Applichi a questi artefatti tag che li identifichino come prove della quarantena. Montare copie degli snapshot in sola lettura su un'istanza forense separata consente di svolgere le indagini senza alterare gli originali o rischiare una reinfezione.

Per aggiungere un ulteriore livello di protezione, può inserire nella network ACL della subnet una regola di negazione per l'indirizzo IP privato dell'istanza.

Le NACL sono stateless e si applicano al perimetro della subnet, quindi intercettano qualsiasi percorso che una modifica al security group potrebbe non bloccare. Le utilizzi come protezione aggiuntiva, non come controllo principale.

Se l'istanza si trova dietro un Elastic Load Balancer o fa parte di un gruppo Auto Scaling, la rimuova dalla registrazione per interrompere l'invio di traffico.

Metta l'istanza Auto Scaling in standby o la scolleghi, così il gruppo non eliminerà le prove sostituendo quello che considera un host non integro.

Su larga scala, le operazioni manuali sono troppo lente. Un modello comune è: finding di GuardDuty, regola EventBridge e Lambda, che sostituisce il security group, crea snapshot dei volumi, rimuove il ruolo e applica tag all'istanza.

In questo modo una risposta composta da più passaggi diventa un'unica azione automatizzata, eseguita entro pochi secondi dal rilevamento.

La quarantena offre il tempo necessario per capire come l'attaccante sia riuscito a entrare. Esamini CloudTrail, VPC Flow Logs e i log sull'host per individuare il punto d'ingresso: una porta esposta, una vulnerabilità non corretta o una credenziale rubata.

Senza conoscere la causa principale, un'istanza ricostruita può essere compromessa esattamente nello stesso modo.

Dopo aver acquisito le prove e compreso la causa principale, sostituisca l'istanza utilizzando una AMI pulita e aggiornata invece di ripulire quella infetta.

È quasi impossibile garantire che una backdoor sia stata rimossa completamente. Ridistribuire da un'immagine considerata affidabile è più rapido e molto più sicuro che ripulire un host compromesso.

Contrassegni l'istanza in quarantena e i relativi snapshot con tag chiari, come Status=Quarantine e l'ID dell'incidente, affinché nessuna automazione o operatore la rimetta accidentalmente in servizio o elimini le prove.

Segua l'istanza fino alla chiusura nel registro dell'incidente, verificando sia il contenimento della minaccia sia la conservazione degli artefatti forensi.

Scelga il passaggio corretto per la credenziale.

Metta in quarantena un'istanza EC2 compromessa sostituendo il security group con uno che neghi tutto, mantenendo l'istanza in esecuzione; quindi crei snapshot dei volumi EBS e acquisisca la memoria prima di modificare qualsiasi cosa. Rimuova il ruolo dell'instance profile e revochi le sessioni attive per invalidare le credenziali rubate, scolleghi l'istanza dai load balancer e da Auto Scaling e aggiunga una protezione NACL. Automatizzi l'intero flusso a partire da GuardDuty, indaghi sulla causa principale e ricostruisca l'istanza da una AMI affidabile.